تنتشر عبر مجموعات تيليجرام ستايكير متحرك يُسبب تعطل التطبيق عند عرضه. وتُظهر هذه الثغرة تأثيرها على أنظمة iOS وAndroid وmacOS وWindows، بينما تظل النسخة الويب تعمل بشكل طبيعي. كان التقرير عن هذه الأنيميشن مُتَّفقًا في دعم تيليجرام منذ يوليو، لكن تم البدء بتصحيحه في سبتمبر فقط بعد أن أصبح الملف شائعًا. ببساطة، وجد تيليجرام "مُسبب تعطل" بين ستايكيراته.
كيف يعمل التعطل
الستايكير المتحرك في تيليجرام هو ملف من نوع TGS: وهو JSON مضغوط بتنسيق Lottie باستخدام ضغط gzip، حيث تُوصف الأنيميشن باستخدام مسارات متجهة مبنية على نقاط. يقوم العميل بتحويل هذه الملفات إلى صور باستخدام محرك أنيميشن داخلي — وهذا المحرك بالذات لا يتحمل التفاعل مع ملف ضار. في المناقشات حول الثغرة، يُشير المشاركون إلى أن المشكلة تكمن في عدد النقاط: حيث تم حزم عدد غير طبيعي من الرؤوس في المسارات، مما يؤدي إلى تعطل العميل عند محاولة تحليلها. أما النسخة الويب، فهي تستخدم محرك أنيميشن مختلف لعرض Lottie، لذا فهي الوحيدة من بين العملاء الرسمية التي تظل مستقرة.
معلومة إضافية: تيليجرام يمتلك فعلاً آلية فحص على الخادم للستايكيرات المرفوعة — حيث يتم رفض بعض الملفات غير الصحيحة — لكن ملف التعطل نجح في التسلل عبر هذه الفحوصات. فالعميل يتلقى الملف كستايكير عادي، ثم يتعطل عند محاولة عرضه.
وهذا ما يفسر انتشار التعطل جغرافيًا: يُسبب تعطل التطبيق لدى أي شخص يظهر فيه التصوير المتحرك في منطقة مرئية — سواء في المحادثة، أو في معاينة المحادثة، أو في قائمة التفاعلات.
التسلسل الزمني
تُعرف هذه الثغرة منذ يوليو. قام المُكتشف @w1r3l355 بإرسال تقرير إلى دعم تيليجرام عن ستايكير يُسبب تعطل جميع العملاء ما عدا النسخة الويب — دون الكشف عن الملف بشكل علني. تم التحقق من التقرير على Android وiPhone وMac وWindows: وتم تسجيل تعطل العملاء على جميع المنصات الأربع، كما توقفت المحادثة التي تم إرسال الستايكير إليها عن الفتح لدى المشاركين. ولم يُرد على التقرير، ولم تُدفع أي مكافأة.
في بداية سبتمبر، تم اكتشاف الملف مجددًا — لكن هذه المرة لم يُرسل تقريرًا، بل بدأ توزيعه عبر المجموعات. في 8 سبتمبر، ظهر متجه جديد: حيث تم تحويل الستايكير إلى أيقونة مخصصة (Custom Emoji) ووضعها في الحالة (Status). والـ Custom Emoji تعتمد على نفس تقنية Lottie، كما أن الحالة تُعرض بجانب الاسم في كل محادثة يكتب فيها الشخص — مما جعل التعطل لا يحتاج حتى إلى إرسال رسالة.
بدأ التصحيح بعد انتشار الملف على نطاق واسع. وفي الوقت نفسه، بدأ الإنترنت بحساب الأضرار:
ماذا تفعل قبل إصلاح الثغرة
جميع الحلول البديلة تدور حول فكرة واحدة: منع العميل من عرض الأنيميشن.
- وضع توفير الطاقة في إعدادات تيليجرام يُوقف التشغيل التلقائي للستايكيرات المتحركة والرموز التعبيرية — مما يعني أن الملف لا يُحلل، وبالتالي لا يحدث تعطل. وهو الحل الأكثر موثوقية.
- إذا كان التطبيق يتعطل فورًا عند الفتح، فافتح أي إشعار من تيليجرام: سيبدأ العميل من محادثة محددة، ويتجنّب المحادثة التي تسبب التعطل.
- اضغط لفترة طويلة على أيقونة تيليجرام → اختر "المفضلة" أو "كتابة رسالة" — لتشغيل التطبيق من دون الدخول إلى آخر محادثة مفتوحة.
- العميل الويب يعمل بشكل طبيعي: يمكنك من خلاله تحديد المرسل، حذف الرسالة، والإبلاغ عنها.
تم جمع ملخص الحلول البديلة من قبل المستخدمين.
وقاعدة بسيطة للنظافة الرقمية في الأيام القادمة: لا تضع أي رموز تعبيرية مخصصة في حالتك، ولا تُثبّت حزمًا من رسائل عشوائية أو من "جربها، هل يعمل عندي؟" — حتى بعد الإصلاح، أي أنيميشن غير معروف قد يكون هو الملف المسبب للتعطل. الحزم الموثوقة تُوجد في قوائم الرموز التعبيرية والستايكيرات.
اقتصاد التقرير
ما يلفت الانتباه ليس الثغرة نفسها، بل المسار الذي اجتازته. تقرير يوليو، مع إثبات مفهوم غير مُعلن، بقي دون رد لمدة شهرين ونصف؛ وبدأ التصحيح فقط بعد أن انتشر الملف على نطاق واسع. للقياس: مقابل ثغرة تُخفي رابطًا خارجيًا كرابط داخلي (وهي تُكشف عن عنوان IP للمستخدم)، دفعت تيليجرام مكافأة قدرها 100 دولار. أما عن الأنيميشن الذي يُسبب تعطل جميع العملاء الناتجة، فلا توجد مكافأة حتى اليوم.
أسئلة متكررة
ما هي ملصقات التعطيل (crash stickers) في Telegram؟
هي ملصقات متحركة أو رموز تعبيرية مخصصة تتسبب في إغلاق تطبيق Telegram عند عرضها. إنه ملف TGS — وهو رسوم متحركة مضغوطة من Lottie، حيث يتم تحديد الخطوط العريضة بواسطة نقاط؛ في ملف التعطيل، يكون عدد الرؤوس كبيرًا بشكل غير طبيعي، ويتوقف محرك الرسوم المتحركة الأصلي عن العمل عند معالجتها.
هل تعمل ملصقات التعطيل على iPhone؟
نعم: يحدث التعطيل على iOS و Android و macOS و Windows. تقوم نسخة الويب من Telegram برسم الرسوم المتحركة بمحرك مختلف وتستمر في العمل. قام Telegram Desktop بإصلاح هذا التعطيل في الإصدارين 7.2.7 و 7.2.8.
كيف تحمي نفسك من ملصقات التعطيل؟
قم بتفعيل وضع توفير الطاقة في إعدادات Telegram — فهو يعطل التشغيل التلقائي للملصقات المتحركة والرموز التعبيرية. إذا أغلق التطبيق فور تشغيله، افتحه عبر إشعار أو بالضغط مطولاً على الأيقونة، ثم احذف الرسالة التي تحتوي على الملصق من نسخة الويب.
لماذا لا يوجد رابط للملصق نفسه هنا؟
إنه ملف ضار: لا يتم نشر الروابط إليه.
